Switchbeheer

PrivateLAN biedt één centrale plek om uw netwerkswitches te registreren, in te delen in groepen en de status ervan te volgen — zonder dat u op elke switch afzonderlijk hoeft in te loggen.

Ondersteunde switches

Momenteel worden de volgende switchplatformen ondersteund:

• Cisco IOS
• Aruba OS
• Aruba OS-CX

Een switch toevoegen

Bij het toevoegen van een switch vult u de volgende gegevens in:

Het aantal switches dat u kunt toevoegen, is afhankelijk van uw licentie.

Wachtwoord of SSH-sleutel

PrivateLAN kan op twee manieren op een switch inloggen. U kiest dit per switch met het veld Authenticatie:

• Wachtwoord — de gebruikersnaam en het wachtwoord die u op de pagina van de switch invult.
• SSH-sleutel — een SSH private key die u op de pagina van de switch plakt, eventueel beveiligd met een passphrase.

Plak voor authenticatie met een SSH-sleutel de private key (PEM- of OpenSSH-formaat; RSA, ECDSA en Ed25519 worden allemaal ondersteund) samen met de bijbehorende passphrase, als die er is. PrivateLAN controleert vóór het opslaan of de sleutel gelezen kan worden, zodat een verkeerde passphrase of een beschadigde sleutel meteen wordt gemeld in plaats van pas later op de switch.

Na het opslaan wordt de bijbehorende public key op dezelfde pagina getoond. Installeer die public key op de switch voor de gebruikersnaam die u heeft ingesteld — daarmee kan PrivateLAN zonder wachtwoord inloggen. De private key zelf wordt nooit meer getoond.

Een enable-wachtwoord kunt u naast een SSH-sleutel gewoon invullen: op platformen die erom vragen, wordt het gebruikt nadat de SSH-verbinding tot stand is gekomen.

Alle inloggegevens van switches — wachtwoorden, enable-wachtwoorden, SSH-sleutels en hun passphrases — worden versleuteld opgeslagen en worden na het opslaan nooit meer getoond.

Switchgroepen

Switches worden ingedeeld in switchgroepen (bijvoorbeeld "Datacenter" of "Verdieping 3"). Groepen maken het beheren van veel switches eenvoudiger: VLAN's en andere instellingen kunnen op een hele groep worden toegepast in plaats van per switch.

Interfaces (poorten)

De interfaces (poorten) van elke switch kunnen worden voorzien van een label dat aangeeft waarvoor ze gebruikt worden:

• [P0] … [P8] — hoogste PoE-klasse die de poort kan leveren; laat het label weg als de poort geen PoE levert
• [ND] — Niet bedoeld voor eindapparaten
• [SERVICE] — Servicepoort voor tijdelijke onderhoudstoegang (zie hieronder)
• [TRUNK] — Trunkpoort (draagt meerdere VLAN's)
• [SFP] — Fiber/SFP-uplinkpoort
• [LAGx] — Lid van een link aggregation group

Deze labels helpen PrivateLAN om automatisch de juiste VLAN-configuratie toe te passen.

PoE-klasse

Een label [P0] tot en met [P8] legt vast wat de hoogste IEEE PoE-klasse is die de poort kan leveren. Een poort zonder zo'n label levert helemaal geen PoE.

Het label configureert niets op de switch. Het wordt vergeleken met de PoE class van een apparaatgroep: een interface kan alleen aan een apparaat worden gekoppeld wanneer hij minstens de klasse kan leveren die de groep van dat apparaat vereist, en een poort die dat niet kan wordt op de apparaatpagina rood weergegeven en geweigerd. De PoE-configuratie die een poort daadwerkelijk krijgt, komt nog steeds uit de configuratiesjablonen van de apparaatgroep, dus een expliciete power inline never voor bijvoorbeeld een server op een PoE-poort blijft leidend.

Omdat een poort zonder label als "geen PoE" telt, gaat een apparaatgroep pas controleren zodra u er een PoE-klasse aan geeft — nieuwe en bestaande groepen vereisen er standaard geen. Zie Apparaatbeheer.

[TRUNK] markeert een uplink naar een andere switch: zo'n poort wordt met de hand geconfigureerd, kan niet aan een apparaat worden gekoppeld, wordt nooit vanuit een apparaatsjabloon geprogrammeerd en wordt door de configuratiecontrole met rust gelaten. Een apparaatpoort die een 802.1Q-trunk moet zijn — een hypervisor met virtuele apparaten in meerdere VLAN's — krijgt niet het label [TRUNK]. Hij blijft een apparaatpoort, en zijn apparaatgroep wordt in de poortmodus Trunk gezet zodat de sjablonen de trunk configureren; zie Apparaatbeheer.

Servicepoorten

Een servicepoort geeft een monteur tijdens onderhoud tijdelijk toegang tot het netwerk, zonder dat daarvoor elke keer met de hand een switchpoort geconfigureerd hoeft te worden — en zonder dat die poort daarna open blijft staan.

Voorzie een interface van het label [SERVICE] om er een servicepoort van te maken. Zo'n poort is altijd een niet-apparaatpoort, er kan dus nooit een apparaat aan gekoppeld worden.

Onder Switches > Service staan alle servicepoorten met hun huidige linkstatus. U activeert een poort voor een vaste sessie van 4, 8, 12 of 24 uur in een VLAN naar keuze. Alleen VLAN's die op de switch van die poort beschikbaar zijn worden aangeboden. Zodra de sessie verloopt gaat de poort automatisch dicht; met Disable sluit u hem eerder af.

De configuratie die bij activatie op de poort wordt gezet stelt u één keer in onder Switches > Service en geldt voor alle servicepoorten. Er wordt een werkende standaard voor alle ondersteunde switchtypes meegeleverd, zodat u de functie meteen kunt gebruiken; pas hem aan waar uw netwerk iets anders vraagt. Een losse poort kan daarnaast een eigen configuratie krijgen wanneer één switch afwijkt. Verwijdert u het label [SERVICE] van een poort, dan verdwijnt die configuratie mee en wordt de poort afgesloten als er nog een sessie liep.

Zolang een servicepoort openstaat is hij zichtbaar op de Inspection-pagina, en toont het dashboard een tegel Service ports open met hoeveel er openstaan en wanneer de eerste dichtgaat — zodat een opengelaten poort nooit onopgemerkt blijft.

Activeren, afsluiten en herconfigureren van een servicepoort wordt vastgelegd in het auditlog, inclusief wie het deed. Twee aparte rechten sturen de functie aan: één om de pagina te bekijken en één om poorten daadwerkelijk te openen en te sluiten.

Switch-stacks

Wanneer meerdere fysieke switches met elkaar zijn gestackt (bijvoorbeeld via stack-kabels bij Cisco of VSF bij Aruba OS-CX), gedraagt de stack zich naar het netwerk toe als één logische switch. Voeg de stack daarom toe als één switch-entry, op het gedeelde management-IP-adres van de stack.

PrivateLAN herkent automatisch of een switch onderdeel is van een stack en toont dit met een icoon in het switchoverzicht. Onder de stack worden de afzonderlijke fysieke leden getoond, elk met hun eigen model, serienummer, firmware, uptime, CPU-belasting, temperatuur en PoE-verbruik.

Bij het invoeren van de interfaces geeft u de poorten van elk lid op met het bijbehorende unit-nummer, bijvoorbeeld: Gi1/0/1-24, Gi2/0/1-24, Gi3/0/1-24.

Switches up-to-date houden

• Program VLAN — stuurt de huidige VLAN-configuratie naar een switch
• Reload switch — past de configuratie van de switch opnieuw toe

Remote SSH

Niet alles is een VLAN-wijziging. Soms hebt u de commandoregel van de switch zelf nodig: een show die PrivateLAN nergens toont, een eenmalige instelling, of een write memory na een onderhoudsvenster. Switches > Remote SSH geeft u die commandoregel vanuit PrivateLAN, zodat u niet op elke switch een aparte SSH-sessie hoeft te openen. Het SSH-icoon in het switchoverzicht opent dezelfde pagina met die switch al geselecteerd.

Wat u intypt gaat ongewijzigd naar de switch. PrivateLAN controleert, vult of corrigeert niets, en een configuratiecommando is meteen actief zodra het verstuurd is — precies alsof u het zelf op de switch intypt. Wat u kunt doen, wordt bepaald door het account dat de switch aan PrivateLAN geeft, niet meer en niet minder.

Selecteert u meerdere switches, dan krijgen ze allemaal dezelfde commando's, de een na de ander. Juist dat maakt de functie meer dan een losse sessie: dezelfde show over een hele switchgroep om de antwoorden te vergelijken, of een write memory op elke switch die u zojuist hebt aangepast. Een switch die niet antwoordt, of waarop PrivateLAN niet kan inloggen, staat grijs in de lijst en kan niet worden toegevoegd.

Per run kunt u maximaal 25 switches aanspreken met maximaal 50 commando's. Verhoog de timeout bij een commando dat veel uitvoer geeft, zoals een volledige configuratie of de MAC-adrestabel van een drukke switch.

Het resultaat lezen

Elke switch krijgt onder het formulier een eigen blok, met per commando het antwoord van de switch eronder, als een terminaluitvoer. Met Copy zet u de volledige uitvoer van die switch op het klembord, klaar om in een ticket of bericht te plakken.

Antwoordt een switch niet meer, dan worden de resterende commando's voor die switch niet verstuurd — na een timeout staat de sessie op een onbekend punt in de commandoregel van de switch, en de rest blind doorsturen is dan slechter dan stoppen. De run gaat verder met de volgende switch en het mislukte commando wordt in de uitvoer gemarkeerd.

Een run heeft daarnaast een totaallimiet op tijd en op de hoeveelheid uitvoer die wordt verzameld. Wordt een van beide bereikt, dan stopt de run en worden de switches genoemd die niet meer aan de beurt zijn geweest, zodat u precies weet wat u in een tweede run moet herhalen.

Wie het mag gebruiken, en wat er wordt vastgelegd

Remote SSH heeft een eigen recht, los van het recht om een switch te bewerken, en alleen een beheerder kan het uitdelen — het geeft namelijk alles wat het switchaccount mag, buiten elke controle om die de rest van PrivateLAN uitvoert.

Elke run wordt per switch vastgelegd in het auditlog: wie het verstuurde, naar welke switch, en welke commando's. Het wordt vastgelegd als waarschuwing en niet als gewone wijziging, zodat het opvalt; stuurt u beveiligingsgebeurtenissen door naar uw eigen syslog-collector, dan gaan deze regels mee. Wat de switch terugstuurde wordt bewust niet gelogd: uitvoer van een configuratie bevat community strings, sleutels en wachtwoord-hashes, en het auditlog is niet de plek voor een tweede kopie daarvan.

Configuratieversies

PrivateLAN leest de running configuration van elke switch toch al elke paar minuten uit, als onderdeel van de reguliere uitvraag. Switches > Versioning gebruikt die uitlezing een tweede keer: telkens wanneer de configuratie van een switch afwijkt van de configuratie die er eerder van is bewaard, wordt de nieuwe als versie opgeslagen. Van elke switch worden de laatste tien versies bewaard; komt er een elfde bij, dan vervalt de oudste.

De pagina toont elke switch waarvan minstens één configuratie is bewaard, met bovenaan de switch waarvan de configuratie het laatst is gewijzigd, met hostnaam, adres, type, model en serienummer, hoeveel versies er van bewaard zijn en wanneer die voor het laatst wijzigde. Klikt u op een regel, dan opent de configuratie van die switch.

Vanaf de lijst zelf kunt u ook in één keer de nieuwste configuratie van alle switches downloaden, als één ZIP-bestand — genoeg om buiten de appliance een back-up van de hele locatie te bewaren.

Twee dingen doet dit bewust niet. PrivateLAN ziet dát een configuratie is gewijzigd, nooit door wie: een wijziging die op de commandoregel van de switch zelf is gemaakt laat niets achter waaraan de persoon te herkennen is, en de pagina doet dus niet alsof dat wel zo is. En een uitlezing die duidelijk onvolledig is — een verbinding die halverwege het afdrukken wegviel — wordt weggegooid in plaats van opgeslagen. Een half uitgelezen configuratie die er nog wel uitziet als een configuratie is slechter dan helemaal geen versie: die zou én een wijziging melden die nooit heeft plaatsgevonden, én een goede versie uit de tien bewaarde wegdrukken.

Regels die een switch bij elke uitlezing anders afdrukt, zoals een build-banner of een "last changed"-tijdstempel, tellen niet mee bij de vraag of de configuratie is gewijzigd. Een gewijzigd wachtwoord hoort daar niet bij: dat is een echte wijziging en die wordt bewaard.

Wie het mag gebruiken

Een running configuration bevat de inloggegevens die op de switch zijn ingesteld — community strings, RADIUS-sleutels en wachtwoord-hashes. Hij wordt opgeslagen en getoond precies zoals de switch hem afdrukte, want met een versie waarin delen zijn weggelaten kunt u een switch niet herstellen, en daar is het bewaren juist voor bedoeld.

Deze pagina bekijken heeft daarom een eigen recht, los van het recht om een switch te bewerken, en alleen een beheerder kan het uitdelen. Niemand heeft het totdat u het toekent. Elke download wordt vastgelegd in het auditlog: wie de configuratie van welke switch heeft gedownload, en welke versie.

Statusmonitoring

Voor elke switch toont PrivateLAN actuele statusinformatie, waaronder:

• Bereikbaarheid (ping- en SSH-status)
• CPU-belasting
• Temperatuur
• Uptime
• PoE-stroomverbruik

Voor switch-stacks wordt deze informatie ook per fysiek lid van de stack getoond — zie het onderdeel "Switch-stacks" hierboven.